Hvem i virksomheden skal kende resultatet?

Et testresultat rummer to modsatrettede hensyn: det skal holdes fortroligt, fordi det beskriver svagheder, og det skal nå ud til dem, der skal rette dem. Svaret på, hvem der skal kende det, er derfor ikke en liste over titler, men en fordeling efter opgave. Hver person får det, de skal bruge for at handle eller føre tilsyn, og ikke mere. Den fordeling er en ledelsesbeslutning, som bør træffes, før rapporten ligger klar.

Fortrolighed og handling trækker i hver sin retning

Hvis for få kender resultatet, sker der ikke noget. Fundene ligger hos IT-chefen eller direktøren, mens de mennesker, der ejer systemerne og processerne, ikke ved, at de har en opgave. Hvis for mange kender det, bliver de detaljerede beskrivelser af svaghederne spredt ud over postkasser, mapper og printere, og risikoen for, at de kommer i de forkerte hænder, vokser.

Løsningen er ikke at vælge mellem de to, men at skelne mellem niveauer af viden. Den samlede vurdering kan deles bredere end de tekniske detaljer, og de enkelte fund kan gives til dem, der skal handle på netop dem. Hvordan rapporten deles med kunder, leverandører og andre uden for huset, er beskrevet på opslagsværket penetrationtest.dk.

Lag af viden i virksomheden

En enkel model er at tænke i lag. Hvert lag får et andet indhold.

Bestyrelsen · den samlede vurdering, de væsentligste risici for forretningen og planen for opfølgning. Ikke nødvendigvis de tekniske detaljer.
Direktionen · det samme som bestyrelsen og desuden status på de enkelte væsentlige fund og hvem der ejer dem. → Præsentationen for direktionen
Systemejere og afdelingsledere · de fund, der vedrører deres område, beskrevet så de kan forstå konsekvensen og prioritere.
IT og driftsleverandør · de tekniske detaljer, der er nødvendige for at rette.
Medarbejderne generelt · hvad virksomheden har lært, og hvad der forventes af dem, uden beskrivelser af konkrete svagheder.

Modellen skal tilpasses. I en lille virksomhed kan direktion, systemejer og IT-ansvarlig være de samme to personer. Pointen er, at nogen har taget stilling til, hvad hver modtager har brug for.

Ledelsen beslutter fordelingen på forhånd

Det er lettest at beslutte, hvem der skal se hvad, før resultatet kommer. Når rapporten ligger på bordet, er der en tendens til at sende den videre hurtigt, fordi alle gerne vil hjælpe. Når der foreligger en aftale, ved alle, hvad de kan forvente.

Udpeg en ejer af resultatet · én person, der beslutter, hvem der får adgang, og fører en liste over det.
Bed om en rapport i lag · et resumé til ledelsen og tekniske afsnit, der kan gives videre hver for sig. → Ledelsens krav til resuméet
Aftal, hvor rapporten opbevares · ét sted med adgangsstyring frem for vedhæftede filer.
Beslut, hvad medarbejderne får at vide · og hvornår, så der ikke opstår rygter.

Tænk også på dem, der forlader virksomheden. En leder eller medarbejder, der har haft adgang til de tekniske detaljer, tager ikke rapporten med sig, men adgangen til mappen eller portalen skal lukkes, når personen stopper. Det samme gælder eksterne bestyrelsesmedlemmer, der træder ud, og leverandører, hvis aftale ophører. Ejeren af resultatet kan bruge sin liste over modtagere til at sikre det, så viden om svagheder ikke bliver hængende hos folk, der ikke længere har en rolle.

Når resultatet handler om bestemte personer

Nogle fund peger på en afdeling, en leverandør eller en enkelt medarbejders arbejdsgang. Det kan være en opsætning, en bestemt person har stået for, eller en adgang, som en leder har bedt om. Her er hensynet til fortrolighed også et hensyn til mennesker.

Et fund er en beskrivelse af en svaghed, ikke en dom over den, der har skabt den. Hvis resultatet bliver brugt til at udpege skyldige, lærer organisationen at skjule problemer i stedet for at melde dem. Det taler for, at fund, der kan knyttes til enkeltpersoner, kun kendes af dem, der skal rette dem, og af den nærmeste leder. → Undgå jagten på syndebukke

Fortæl medarbejderne noget

Det er en almindelig fejl at holde resultatet helt skjult for organisationen. Medarbejderne kan have bemærket, at der er blevet testet, og tavshed kan blive tolket som et tegn på, at noget er galt. Samtidig er medarbejderne en del af sikkerheden, og de kan kun bidrage, hvis de ved, hvad der forventes.

En kort orientering fra ledelsen kan være nok: vi har fået testet vores systemer, vi har fået et billede af, hvor vi skal forbedre os, og vi er i gang. Hvis nogle fund handler om arbejdsgange, som mange bruger, kan ledelsen forklare, hvad der ændres og hvorfor, uden at beskrive selve svagheden. → Sikkerhedskultur begynder i ledelsen

Et tænkt eksempel

En vognmandsforretning med kontor i to byer får resultatet af en sikkerhedstest. Direktøren beslutter på forhånd, at økonomichefen ejer rapporten. Bestyrelsen får resuméet og en side med planen. Disponentchefen får de fund, der vedrører flådestyringen, og driftsleverandøren får de tekniske detaljer om netværket.

Et af fundene handler om, at chaufførerne deler et login til en planlægningsportal. Det bliver ikke beskrevet i en mail til alle, men direktøren forklarer på næste personalemøde, at hver chauffør nu får sit eget login, fordi delte konti gør det umuligt at se, hvem der har gjort hvad. Ingen bliver hængt ud, og ændringen bliver modtaget uden protester.

Det skal I lade være med

At sende hele rapporten til alle, der kan hjælpe · giv hver modtager det, der vedrører dem.
At holde resultatet hos én person · så bliver der ikke rettet.
At lade rapporten ligge i mailtråde · saml den ét sted med styret adgang.
At bruge fundene til at udpege skyldige · det lærer organisationen at tie.
At sige ingenting til medarbejderne · tavshed skaber rygter. → Kan testresultatet bruges imod os?

Hvad kan og ikke kan konkluderes

En gennemtænkt fordeling af resultatet kan sikre, at de rette handler, og at detaljerne ikke spredes unødigt. Den kan ikke garantere, at rapporten aldrig når en forkert modtager, og den erstatter ikke en egentlig styring af, hvem der har adgang til fortrolige dokumenter. Fordelingen er heller ikke fast. Når fundene er rettet, falder behovet for at holde detaljerne tæt, og når der kommer nye medarbejdere eller ledere, skal det besluttes igen, hvem der skal kende hvad.

Tjekliste: fordelingen af resultatet

☐ Er der udpeget en ejer af resultatet?
☐ Er det besluttet, hvad bestyrelse, direktion, systemejere og IT hver får?
☐ Opbevares rapporten ét sted med styret adgang?
☐ Er fund, der kan knyttes til enkeltpersoner, behandlet diskret?
☐ Har medarbejderne fået en orientering om, at der er testet, og hvad der følger?

Senest gennemgået: oktober 2026.